Vue-cli SPA对接AdonisJS后端实现第三方社交认证的最佳方案

方案一：OAuth2 授权码流（推荐，安全性最高） #

这是符合OAuth2规范的标准实现，不需要依赖Adonis官方social认证方案的session guard，适配SPA场景：

• 前端Vue侧给每个第三方登录按钮绑定点击事件，点击后直接跳转至Adonis后端的认证发起接口，例如/api/auth/:provider/redirect，该接口直接调用Adonis social auth提供的redirect方法即可，注意将第三方平台的回调地址配置为你的前端路由地址（如https://你的项目域名/auth/callback），而非后端接口地址。
• 用户在第三方平台完成授权后，会自动跳转回你前端的回调路由，同时携带授权码code参数，前端提取该参数和对应的平台标识（如github/google），POST提交到Adonis后端的校验接口，例如/api/auth/social/callback。
• 后端拿到授权码后，调用Adonis social auth提供的getUserByCode方法即可直接获取第三方用户信息，该方法不依赖session guard，完全适配API场景。拿到用户信息后自行完成新用户注册/老用户登录逻辑，再通过Adonis的JWT guard签发自有服务的JWT令牌返回给前端即可，后续请求前端携带该JWT完成身份校验。

方案二：前端获取令牌后端校验模式 #

如果你已经在前端完成了firebase或第三方原生SDK的令牌获取逻辑，该方案可以复用现有代码，只要做好后端校验即可保证安全：

• 首先明确：只要后端做完整的合法性校验，firebase返回的accessToken可以作为身份凭证传入后端，不存在安全问题。
• 前端通过firebase SDK或第三方平台原生SDK拿到用户的idToken/accessToken后，将令牌和平台标识提交到后端校验接口。
• 后端根据平台类型做对应校验：如果是firebase颁发的令牌，直接用firebase-adminSDK校验令牌签名和有效期，提取对应用户的公开信息；如果是第三方原生令牌，调用对应平台的公开校验接口确认令牌合法有效。
• 校验通过后走常规的用户登录/注册逻辑，签发自有服务的JWT返回给前端即可。

核心安全注意事项 #

• 无论采用哪种方案，都禁止直接将前端传入的第三方令牌作为后端API的身份校验JWT使用，必须后端校验通过后，签发自有服务的JWT，避免伪造令牌攻击。
• 授权码流场景下，需要将前端回调地址提前添加到对应第三方开放平台的授权白名单中，避免授权失败。

内容的提问来源于stack exchange，提问作者Neku80